問84
頻出度★★★
業務中に受信した電子メールの添付文書をワープロソフトで開いたら，ワープロソフトが異常終了した。受け取った電子メールがウイルスを含んでいた可能性が考えられる場合，適切な処置はどれか。
平成21年度 春期 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ管理
这道题的解析和你的作答记录。
解説
問 84
错误ア
从网络断开这一步本身是正确的，但之后由用户擅自重新安装操作系统（OS）这一点是错误的。重新安装会把查明原因所需的证据（附件、日志、感染痕迹）全部抹掉，导致主管部门无法调查究竟是什么病毒、其他 PC 是否也受到波及。而且此时是否真的感染尚未确认，如果只是软件故障，这项操作根本没有必要。选择用什么手段恢复，是接到报告的负责人的职责。
- イ
正解 怀疑感染病毒时的行动原则有两点：(1) 阻止损害扩大；(2) 不擅自判断，迅速向专门的负责人报告。イ 同时满足这两点。首先，将 PC 从网络断开，可以切断病毒向公司内部 LAN 及其他 PC 扩散的途径（防止扩大）；接着迅速联系系统管理部门的负责人，就能把后续处理——确认是否感染、清除病毒、向全公司发出正确的提醒、必要时向外部申报——移交给具备权限和专业知识的负责人。而且由于保持 PC 原状后再报告，调查原因所需的证据（有问题的附件和日志）也得以保全。用户需要做的只到「断开网络，立即通知」为止，再往后的判断是主管部门的职责。
错误ウ
为了确认现象是否再次出现而再次打开那份附件文档，等于自己重复制造感染的机会，是最危险的做法。而且 PC 仍连接着网络，还有可能使损害扩散到别处。如果异常终止的原因是病毒，那么复现试验什么也得不到，只会扩大损失。另外，重新安装文字处理软件是以软件故障为前提的处置，作为怀疑病毒感染场合的初期应对是偏离要点的。
错误エ
发出提醒本身是必要的，但由用户擅自向全体员工群发就不恰当了。在感染尚未确定的阶段，信息可能并不准确，会招致不必要的混乱。而且，如果那台 PC 确实已被感染，发出的电子邮件本身就可能成为传播病毒的媒介。面向全公司的通报，应当由核实事实后的系统管理部门判断内容和时机后再进行。此外，这个选项没有提到把 PC 从网络断开的处置，因而无法防止损害扩大。
ここがポイント
- 发生信息安全事件时，初期应对的顺序是「防止损害扩大（从网络断开）」→「迅速报告（联系系统管理部门）」。一般用户不应自行判断而进行恢复、调查、通报，应交由专门部门接手。
- 重新安装操作系统或软件，以及确认现象能否重现，都会抹掉感染的证据或使损害扩大。为了调查原因，应让 PC 保持现状加以保全，处理方法的决定交给主管部门。
用語